Identitas VPN terpisah untuk tim kecil, tanpa direktori

Enam orang berbagi satu login VPN, salah satunya keluar, dan satu-satunya cara mencabut aksesnya adalah mengubah rahasia yang dipakai semua orang lain. Itulah masalah sebenarnya, dan tidak perlu Active Directory untuk menyelesaikannya. Kantor kecil dapat menyimpan identitas terpisah di penyimpanan lokal apa pun yang didukung gateway-nya dan tetap memperlakukan karyawan keluar sebagai rutinitas. Pekerjaannya ada pada memilih penyimpanan dan menuliskan langkah pencabutan sebelum Anda membutuhkannya.

Mulai dari kredensial yang dipegang setiap orang

Daftar apa yang dipakai setiap orang untuk terhubung sebelum memilih backend. Satu laptop, satu ponsel, mungkin komputer meja di rumah, dan masing-masing adalah kredensial terpisah atau sertifikat perangkat terpisah. Jika Anda tidak dapat menyebut kredensial yang dipegang seseorang, Anda tidak dapat mencabutnya nanti.

Dua orang yang berbagi satu profil adalah kasus yang membuat setiap langkah berikutnya lebih sulit. Perbaiki itu lebih dulu, karena tidak ada direktori yang menyelesaikan rahasia bersama.

Pilih penyimpanan yang benar-benar didukung gateway

Pilih penyimpanan identitas yang sudah didukung gateway, bukan yang ingin Anda jalankan. Gateway dengan basis data pengguna lokal dapat menyimpan akun terpisah dengan kebijakan per pengguna. Penerapan IKEv2 dapat memetakan identitas EAP ke rahasia tertentu, asalkan metode klien dan pemverifikasi cocok. Penyiapan berbasis sertifikat dapat menerbitkan satu sertifikat per perangkat dari otoritas bersama, yang menjaga jangkar kepercayaan tetap bersama sementara kredensial tetap terpisah.

Lokasi penyimpanan kurang penting daripada operasinya: pendaftaran, cadangan, pembaruan, dan pencabutan. Jika salah satunya tidak punya jawaban, pilihannya belum selesai.

Jika gateway menawarkan akun lokal dan sertifikat, pilih yang dapat dijalankan tim Anda pada pukul dua pagi tanpa vendor di telepon. Preferensi itu soal waktu pemulihan, bukan soal pilihan mana yang secara teknis lebih kuat.

Pisahkan orang dari perangkat

Putuskan apa yang diwakili kredensial: orang, perangkat, atau keduanya. Laptop dan ponsel milik satu karyawan adalah dua perangkat dan satu orang, dan kehilangan ponsel tidak harus menonaktifkan laptop. Tuliskan model itu, karena model itulah yang menentukan arti pencabutan.

Catat pemilik, perangkat, tanggal penerbitan, dan jalur pencabutan untuk setiap kredensial. Simpan catatan itu di tempat kantor dapat membacanya tanpa orang yang menyiapkannya. Tabel dengan empat kolom itu cukup untuk enam orang dan masih berskala sampai enam puluh.

Jadikan pencabutan operasi biasa

Tulis prosedur keluar sebelum karyawan pertama keluar. Nonaktifkan identitas, akhiri sesi yang aktif, dan pastikan terowongan benar-benar putus alih-alih menunggu pengatur waktu autentikasi ulang. Lalu periksa bahwa kredensial lama gagal dari mesin di luar jaringan kantor. Seluruh urutan seharusnya memakan waktu beberapa menit dan tidak menuntut penerbitan ulang bagi siapa pun.

sudo swanctl --terminate --ike alice-laptop

Pertahankan jalur pemulihan administrator yang tidak bergantung pada akun yang dinonaktifkan, dan rekonsiliasi akun lokal yang nanti pindah ke direktori. Tujuannya sederhana: mencabut satu orang adalah tugas rutin, bukan proyek yang menyentuh profil semua orang lain. Autentikasi lokal Access Server adalah satu contoh terdokumentasi penyimpanan yang cocok dengan bentuk ini.